Quem monitora seu Programa de Privacidade não é só o órgão regulador

O caso envolvendo o Smart Sampa trouxe um detalhe que merece tanta atenção quanto o próprio incidente de segurança: não foi a ANPD quem identificou inicialmente o vazamento de dados.

Após a divulgação de que credenciais do sistema teriam permanecido expostas em um repositório público por cerca de 11 meses, onze organizações da sociedade civil acionaram a ANPD e solicitaram a abertura de investigação, além da adoção de medidas preventivas e sancionatórias. A Agência confirmou o recebimento do ofício e informou que analisaria o caso. A Prefeitura de São Paulo atribuiu o vazamento a um servidor, adotou medidas posteriores de segurança e negou fragilidades na plataforma.

O episódio deixa uma mensagem importante para empresas: seu programa de privacidade não é observado apenas pelo órgão regulador.

Titulares de dados podem denunciar. Organizações podem provocar a fiscalização. Clientes podem questionar. Parceiros podem solicitar evidências. E empresas interessadas em contratar ou manter determinada relação comercial podem avaliar se aquele fornecedor representa um risco que estão dispostas a assumir.

A própria ANPD esclarece que denúncias podem ser apresentadas por qualquer pessoa física ou jurídica e que esses requerimentos são uma das principais fontes de informação utilizadas no monitoramento que antecede ações fiscalizatórias.

Quando uma companhia contrata um fornecedor que terá acesso a dados pessoais, ela também incorpora parte do risco dessa cadeia. Por isso, contratos já preveem requisitos de privacidade e segurança, obrigações de comunicação de incidentes, regras para suboperadores e até possibilidade de auditorias para verificar o cumprimento das obrigações relacionadas ao tratamento de dados.

É nesse momento que uma deficiência na conformidade com a LGPD pode deixar de ser apenas um problema regulatório e se tornar um problema comercial.

Um potencial cliente pode pedir evidências do programa de privacidade antes de fechar o contrato. Um parceiro pode entender que os controles existentes são insuficientes para compartilhar determinada base. Uma empresa em processo de contratação pode preferir um fornecedor que consiga demonstrar governança mais madura. E uma falha pública pode se transformar em uma red flag muito antes de chegar qualquer correspondência da ANPD.

Por isso, a conformidade com a LGPD não deve ser tratada apenas como defesa contra fiscalização.

Um programa de privacidade estruturado também funciona como evidência de maturidade, confiabilidade e capacidade de administrar riscos perante o mercado.

A Data Protection Brasil atua na estruturação de programas de conformidade e lgpd considerando a realidade, os serviços e os riscos específicos de cada empresa. Realizamos o mapeamento das atividades de tratamento, revisão de políticas e contratos, avaliação de fornecedores, análise de riscos, definição de procedimentos e adequação de novos produtos e serviços às exigências de proteção de crianças e adolescentes.

Também atuamos como DPO terceirizado, acompanhando continuamente o tratamento de dados pessoais e apoiando a empresa na gestão de incidentes, no atendimento aos titulares e na interlocução com a ANPD.Entre em contato conosco.